1. 「情報セキュリティ10大脅威」とは
「情報セキュリティ10大脅威」とは、IPA（情報処理推進機構）が毎年公表している、その年に社会的に影響が大きかったと考えられる情報セキュリティの脅威をまとめたものです。専門家による選考を経て、「組織編」と「個人編」に分けて、上位10件の脅威が示されます。企業のセキュリティ担当者にとって、「いま何を優先して守るべきか」を考えるための、信頼できる出発点となる資料です。
重要なのは、ランキングの順位そのものよりも、「毎年上位に挙げられ続ける脅威には、共通する構造がある」という点です。本記事では、組織編で常に上位に位置づけられる代表的な脅威を整理し、それらの多くが「ある一つの起点」に集約されることを示したうえで、限られたリソースで何から手をつけるべきかを解説します。
2. 組織編で上位に挙げられ続ける脅威
IPAの10大脅威（組織編）で、近年上位に挙げられ続けている代表的な脅威は、次のとおりです。
| 脅威 | 内容 |
|---|---|
| ランサムウェアによる被害 | データを暗号化し身代金を要求。長年、組織編の最上位に位置づけられる最重要脅威 |
| サプライチェーンの弱点を悪用した攻撃 | 取引先・委託先を踏み台に、本命の企業へ侵入する |
| 標的型攻撃による機密情報の窃取 | 特定の組織を狙い、時間をかけて侵入し情報を盗む |
| 内部不正による情報漏えい | 従業員・退職者・委託先による意図的な持ち出し |
| ビジネスメール詐欺（BEC）による被害 | 取引先や経営層になりすまし、送金・情報を詐取する |
| 脆弱性の悪用・修正プログラム未適用 | 公開された脆弱性や未対応のパッチを突かれる |
| テレワーク等の環境を狙った攻撃 | VPN・リモートアクセスの弱点を突いた侵入 |
| 不注意による情報漏えい | 誤送信・設定ミス・紛失などの人的ミス |
※順位は年によって変動します。ここでは、組織編で継続的に上位へ挙げられている脅威を整理しています。最新の詳細はIPA公式ページをご確認ください。これらは一見ばらばらに見えますが、実は多くが「ある共通の起点」から始まっています。
3. 多くの脅威に共通する起点——認証情報の窃取・悪用
上位脅威を並べて見ると、その多くが「認証情報（ID・パスワード）の窃取・悪用」を起点、あるいは重要な足がかりにしていることが分かります。
- ランサムウェア：侵入経路の多くが、盗まれた・破られた認証情報によるVPN・RDPへのなりすましログイン。
- サプライチェーン攻撃：取引先から盗んだ認証情報で、本命企業へ正規利用者として侵入する。
- 標的型攻撃：フィッシングで認証情報を盗み、それを足がかりに内部へ侵入・横移動する。
- 内部不正：過剰な権限や、退職後も有効なアカウントが悪用される。
- ビジネスメール詐欺：乗っ取ったメールアカウント（＝認証の突破）を使ったなりすまし。
- テレワークを狙う攻撃：VPN・リモートアクセスの認証を突破して侵入する。
つまり、「認証」という一点を固めることが、上位脅威の多くに対して同時に効くのです。攻撃者は、わざわざ高度な技術で正面突破するより、「正規の鍵（認証情報）を盗んで、正規利用者になりすます」ほうが効率的だと知っています。だからこそ、認証は最も狙われ、そして最も効果的な防御ポイントなのです。ID・アクセス管理の全体像はIAMとはで解説しています。
自社は、上位脅威に対して何ができていますか？
認証・ID管理を起点に、優先すべき対策を可視化。Net Peaceが、自社の現状に合わせた対策の優先順位付けを支援します。
4. 限られたリソースで、何から手をつけるか
10の脅威すべてに一度に完璧に対応するのは、どんな企業にも困難です。だからこそ、「効果が高く、多くの脅威に同時に効く対策」から着手するのが賢明です。前述のとおり、その筆頭が「認証・ID管理の強化」です。優先順位の目安を示します。
- 最優先：多要素認証（MFA）の導入。特にVPN・RDP・クラウド（Microsoft 365等）へ。認証情報が盗まれても、なりすましを防げます。
- 次に：退職者・不要アカウントの棚卸しと、権限の最小化。内部不正と放置アカウントの悪用を防ぎます（アクセス権の棚卸し／最小権限）。
- 並行して：脆弱性・パッチの管理。特に外部公開機器（VPN等）の修正を最優先で。
- そして：バックアップの隔離とインシデント対応体制。万一侵入されても被害を復旧・封じ込められるように。
- 土台として：従業員教育。ただし人の注意だけに頼らず、仕組みで防ぐ（後述）。
この順で進めれば、限られたリソースでも、上位脅威の多くをカバーできます。すべての起点である「認証」から固める——これが、最も費用対効果の高いアプローチです。
5. 対策の到達点——パスワードレス
認証の強化は、多要素認証から始めるのが現実的です。しかし、その到達点として目指すべきは、パスワードそのものをなくす「パスワードレス認証」です。
考えてみてください。上位脅威の多くが「認証情報の窃取・悪用」を起点にしているなら、盗まれる認証情報（パスワード）そのものをなくせば、その起点を断てるのです。フィッシングに強いパスワードレス認証（FIDO2/パスキー）は、パスワードを一切使わず、しかも偽サイトに認証情報を渡さないため、フィッシングによるなりすましが原理的に成立しません。ランサムウェアも、サプライチェーン攻撃も、標的型攻撃も、BECも——「盗んだ認証情報でなりすます」という共通の手口が、パスワードレスの前では通用しなくなります。
従業員教育は基本として続けつつ、その先の根本対策として、認証の仕組みそのものを「盗めないもの」にする。米国NISTをはじめ世界のセキュリティガイドラインが、最終的に求められる認証としてこのパスワードレスを明確に示しているのは、まさに多くの脅威の起点を断つためです。10大脅威という「守るべきものの地図」を前に、まず認証という最大の交差点を、パスワードレスで固める——それが、限られたリソースで最大の効果を得る、これからの守り方です。
6. まとめ
IPA「情報セキュリティ10大脅威」の組織編で上位に挙げられ続ける脅威——ランサムウェア、サプライチェーン攻撃、標的型攻撃、内部不正、ビジネスメール詐欺、脆弱性の悪用、テレワークを狙う攻撃など——は、その多くが「認証情報の窃取・悪用」を起点にしています。だからこそ、認証・ID管理の強化は、複数の上位脅威に同時に効く、最も費用対効果の高い対策です。
限られたリソースでは、①MFAの導入（VPN・RDP・クラウド）、②アカウント棚卸しと最小権限、③脆弱性・パッチ管理、④バックアップと対応体制、の順で着手するのが定石です。そして、認証の到達点は、なりすましの起点を断つパスワードレス認証（FIDO2/パスキー）です。世界のガイドラインが最終的に求めるのも、このパスワードレスです。10大脅威を「自社の対策の優先順位」に落とし込むなら、まず認証から。現状の可視化と優先順位付けにお悩みなら、専門家にご相談ください。